Quellen-Tabelle

Das US-Office of Personnel Management gab am 09.07.2015 bekannt, dass bei einem zweiten Cyberangriff Datensätze von 21,5 Millionen Personen gestohlen wurden, darunter 19,7 Millionen Antragsteller für Sicherheitsüberprüfungen. Erbeutet wurden Sozialversicherungsnummern, Wohnsitz- und Ausbildungsdaten sowie Gesundheits-, Straf- und Finanzdaten aus den Sicherheitsüberprüfungsformularen SF-86, SF-85 und SF-85P. Zusätzlich waren zunächst 1,1 Millionen Fingerabdruck-Datensätze betroffen, diese Zahl wurde im September 2015 auf 5,6 Millionen korrigiert. US-Geheimdienstdirektor James Clapper bezeichnete China als leading suspect für den Angriff, China wies eine Beteiligung zurück.

Eine formelle, namentliche Zurechnung des Angriffs zu chinesischen Regierungsstellen wurde von der US-Regierung nie mit Beweisführung veröffentlicht. Wie viele der 21,5 Millionen Betroffenen mit den 4,2 Millionen Betroffenen der ersten, separaten OPM-Datenpanne identisch sind, wird in Berichten unterschiedlich beziffert.

Das US-Justizministerium gab am 09.05.2019 Anklage gegen den chinesischen Staatsbürger Fujie Wang sowie einen unidentifizierten Mittäter wegen des Einbruchs bei US-Krankenversicherer Anthem im Jahr 2015 bekannt. Erbeutet wurden Daten von rund 78,8 Millionen Personen, darunter Namen, Sozialversicherungsnummern, Versichertennummern, Geburtsdaten, Adressen und Beschäftigungsangaben. Das Justizministerium ordnete die Täter einer in China ansässigen Hackergruppe zu.

Eine offizielle Verbindung der Hackergruppe zur chinesischen Regierung stellte das Justizministerium in der Anklage nicht her. Ob Fujie Wang oder der Mittäter je festgenommen wurden, ist aus dieser Quelle nicht ersichtlich, beide galten als flüchtig in China.

Ende Mai 2016 bot ein Hacker namens Peace auf einem Darknet-Marktplatz einen Datensatz mit rund 360 Millionen MySpace-E-Mail-Adressen und 427 Millionen Passwörtern für umgerechnet rund 2.800 US-Dollar zum Verkauf an. Der zugrunde liegende Einbruch wird von Have I Been Pwned auf etwa 2008 datiert, betroffen waren E-Mail-Adressen, Nutzernamen und unsalted SHA1-Passwort-Hashes. MySpace bestätigte 2016 lediglich, von dem Vorfall erfahren zu haben, und setzte Passwörter alter Konten zurück.

Wann genau und auf welchem technischen Weg die Daten ursprünglich bei MySpace entwendet wurden, ist bis heute nicht geklärt. Auch die tatsächliche Identität des Verkäufers Peace ist öffentlich nicht zweifelsfrei belegt.

Das FBI gab am 09.11.2011 den Abschluss der zweijährigen Ermittlung Operation Ghost Click bekannt. Sechs estnische und ein russischer Staatsbürger wurden angeklagt, seit 2007 mit der Schadsoftware DNSChanger etwa vier Millionen Computer in mehr als 100 Ländern infiziert zu haben, darunter rund 500.000 in den USA. Die Malware veränderte DNS-Einstellungen und leitete Datenverkehr auf Server der Täter um, um per Klickbetrug Werbeeinnahmen zu erzielen. Die Behörden bezifferten den illegalen Gewinn auf mindestens 14 Millionen US-Dollar.

Der genaue rechtskräftige Ausgang aller Verfahren gegen die einzelnen Angeklagten ist nicht einheitlich öffentlich dokumentiert, da mehrere in Estland ansässig blieben. Der russische Mitangeklagte Andrey Taame galt als flüchtig, sein weiterer strafrechtlicher Verbleib ist nicht abschließend belegt.

Das Verwaltungsgericht Hannover entschied am 05.06.2025 über die Klage von Volkswagen gegen fünf Verwarnungen der Landesbeauftragten für den Datenschutz Niedersachsen. Die Behörde hatte VW wegen Datenschutzverstößen bei der Aufarbeitung des Dieselskandals verwarnt, unter anderem wegen unzureichender Information von Beschäftigten vor der Weitergabe ihrer Daten an einen US-Monitor und die US-Umweltbehörde EPA. Das Gericht bestätigte drei der fünf Verwarnungen und erklärte zwei für rechtswidrig, im Kern ging es um die Übermittlung von mehr als 65.000 Dokumenten mit personenbezogenen Daten an US-Stellen.

Der vollständige Wortlaut der schriftlichen Urteilsbegründung war zum Zeitpunkt der Pressemitteilung noch nicht veröffentlicht. Dieses Verfahren betrifft ausschließlich die Datenverarbeitung im Zuge der Dieselskandal-Aufklärung und ist getrennt vom späteren Fall der VW-Tochter Cariad zu Standortdaten von Elektrofahrzeugen.

Die britische Datenschutzbehörde ICO verhängte am 30.10.2020 eine Geldbuße von 18,4 Millionen Pfund gegen Marriott International wegen Verstößen gegen Artikel 5(1)(f) und Artikel 32 DSGVO. Grundlage war ein Cyberangriff auf die Reservierungsdatenbank der 2016 von Marriott übernommenen Starwood Hotels, bei dem sich Unbekannte bereits seit 2014 unbemerkt Zugang verschafft hatten. Entdeckt wurde der Angriff erst am 08.09.2018, betroffen waren bis zu 339 Millionen Gästedatensätze weltweit, darunter rund 7 Millionen mit Bezug zum Vereinigten Königreich.

Ob Marriott gegen den Bußgeldbescheid Rechtsmittel eingelegt hat, geht aus der Quelle nicht hervor. Die separate Geldbuße der US-Behörde FTC gegen Marriott aus dem Jahr 2024 ist ein eigenständiges, späteres Verfahren und nicht Gegenstand dieser Quelle.

Angreifer erlangten zwischen Ende Februar und Anfang März 2014 eine kleine Zahl von Mitarbeiter-Zugangsdaten und verschafften sich damit Zugriff auf eBays Firmennetzwerk und eine Kundendatenbank mit Namen, verschlüsselten Passwörtern, E-Mail-Adressen, Anschriften und Geburtsdaten. eBay informierte am 21.05.2014 öffentlich und forderte alle rund 145 Millionen aktiven Nutzerkonten zur Passwortänderung auf. Finanz- oder Kreditkartendaten waren laut Unternehmen nicht betroffen, da diese getrennt bei PayPal gespeichert waren.

Wie viele der 145 Millionen Nutzerkonten tatsächlich betroffen waren, bleibt offen, eBay nannte nur die Gesamtzahl aktiver Nutzer als Referenzgröße. Wie die Angreifer die anfänglichen Mitarbeiter-Zugangsdaten erbeuteten, ist ebenso unklar wie ihre Identität.

JPMorgan Chase teilte am 02.10.2014 der US-Börsenaufsicht SEC mit, dass ein im Sommer 2014 entdeckter Cyberangriff Kontaktdaten von rund 76 Millionen Haushalten und 7 Millionen kleinen Unternehmen kompromittiert hat, zusammen etwa 83 Millionen betroffene Kunden. Erbeutet wurden Namen, Adressen, Telefonnummern und E-Mail-Adressen. Nach Angaben von JPMorgan waren Kontonummern, Passwörter, Geburtsdaten und Sozialversicherungsnummern nicht betroffen.

Über welchen genauen technischen Weg die Angreifer erstmals in die internen Systeme eindrangen, ist in dieser Quelle offen. Wie viele der 83 Millionen Kontaktdatensätze tatsächlich für nachgelagerten Betrug missbraucht wurden, ist nicht abschließend geklärt.

LastPass gab am 22.12.2022 bekannt, dass ein Angreifer mit im August 2022 aus der Entwicklungsumgebung gestohlenen Zugangsdaten einen weiteren Mitarbeiter kompromittierte und darüber auf einen Cloud-Speicherdienst zugriff. Dort kopierte er Kunden-Backup-Daten mit unverschlüsselten Metadaten wie Firmennamen und E-Mail-Adressen sowie vollständig verschlüsselten Passwort-Tresor-Feldern. Laut LastPass bleiben die verschlüsselten Felder durch 256-Bit-AES-Verschlüsselung geschützt, vollständige Kreditkartennummern waren nicht betroffen.

Die genaue Gesamtzahl der betroffenen Kundenkonten wird in der offiziellen Mitteilung nicht beziffert. Spätere Recherchen brachten mutmaßliche Kryptowährungsdiebstähle mit den gestohlenen Vaults in Verbindung, LastPass selbst bestätigte einen solchen Zusammenhang jedoch nicht offiziell.

Ein Angreifer verschaffte sich Zugriff auf einen internen Server der Kreditauskunftei Experian, auf dem Bewerberdaten für T-Mobile US gespeichert waren. Betroffen waren rund 15 Millionen Personen in den USA, die zwischen dem 01.09.2013 und dem 16.09.2015 eine Kreditprüfung für einen T-Mobile-Vertrag durchlaufen hatten. Erbeutet wurden Namen, Geburtsdaten, Adressen sowie Sozialversicherungs- und Ausweisnummern, Zahlungskarten- oder Bankdaten waren nicht betroffen.

Wer konkret hinter dem Angriff steckte und ob die Täter je identifiziert wurden, ist aus dieser Quelle nicht ersichtlich. In welchem Umfang die verschlüsselten Sozialversicherungsnummern tatsächlich entschlüsselt und missbraucht wurden, bleibt offen.

Die US-Krankenhauskette Community Health Systems meldete am 18.08.2014 der SEC einen Cyberangriff auf ihre Netzwerke im April und Juni 2014. Gestohlen wurden Namen, Adressen, Geburtsdaten und Sozialversicherungsnummern von rund 4,5 Millionen Personen, die bei mit CHS verbundenen Ärzten behandelt worden waren. Die beauftragte Sicherheitsfirma Mandiant ordnete den Angriff einer fortgeschrittenen Bedrohungsgruppe mit Ursprung in China zu, medizinische Behandlungsdaten waren laut CHS nicht betroffen.

Die offizielle SEC-Meldung nennt keine konkrete Angreifergruppe und erwähnt weder die Bezeichnung APT18 noch Heartbleed als Einfallstor, diese Details stammen aus späteren Analysen von IT-Sicherheitsfirmen. Eine direkte Steuerung des Angriffs durch die chinesische Regierung ist nicht abschließend belegt.

Der Landesbeauftragte für Datenschutz Rheinland-Pfalz schloss im Dezember 2014 ein Bußgeldverfahren gegen die Debeka einvernehmlich ab. Grundlage waren eingeräumte Listenkäufe, bei denen einzelne Mitarbeiter und Vermittler ohne Einwilligung Datensätze von Anwärtern des öffentlichen Dienstes erworben und zur Versicherungsakquise genutzt hatten. Die Debeka akzeptierte eine Geldbuße von 1,3 Millionen Euro und finanzierte zusätzlich eine mit 600.000 Euro dotierte Stiftungsprofessur für Datenschutz an der Universität Mainz.

Dieses Verfahren fand in Rheinland-Pfalz statt und wurde noch auf Grundlage des alten Bundesdatenschutzgesetzes geführt, da die DSGVO erst ab Mai 2018 galt. Wie viele einzelne Vermittler und Beamtenanwärter konkret betroffen waren, bleibt offen.

Am 17.03.2018 veröffentlichten The Observer/The Guardian und zeitgleich die New York Times auf Basis des Whistleblowers Christopher Wylie eine Enthüllung über die britische Firma Cambridge Analytica. Wylie beschrieb, wie Cambridge Analytica über die App This Is Your Digital Life des Datenwissenschaftlers Aleksandr Kogan Facebook-Daten von bis zu 87 Millionen Nutzerprofilen ohne informierte Einwilligung abgriff. Die Daten wurden für politisches Microtargeting genutzt, unter anderem für die Kampagnen von Ted Cruz und Donald Trump 2016. Facebook hatte die Datenabschöpfung bereits Ende 2015 festgestellt, Nutzer aber nicht informiert.

Diese Quelle behandelt ausschließlich die journalistische Erstenthüllung vom März 2018, nicht die späteren behördlichen Verfahren wie das Bußgeld der britischen Datenschutzbehörde ICO gegen Facebook, die bereits gesondert dokumentiert sind. In welchem Umfang die Daten tatsächlich für vollständige psychografische Profilbildung genutzt wurden, wie Cambridge Analytica selbst behauptete, wurde von unabhängiger Seite angezweifelt.

Am 15.07.2020 verschafften sich Angreifer per Social Engineering gegenüber Twitter-Mitarbeitern Zugriff auf interne Administrationswerkzeuge und übernahmen mehr als 130 verifizierte Konten, darunter Obama, Biden, Musk und Apple. Von den Konten wurden Tweets abgesetzt, die zu Bitcoin-Zahlungen aufriefen, rund 117.000 US-Dollar wurden erbeutet. Das DOJ klagte am 31.07.2020 Mason Sheppard und Nima Fazeli an, ein dritter Beteiligter war minderjährig und wurde separat in Florida verfolgt.

Die genaue technische Methode des Social-Engineering-Angriffs ist nicht durch ein unabhängiges forensisches Gutachten öffentlich im Detail belegt. Wie viele Konten neben den bekannten Prominenten betroffen waren und ob private Nachrichten eingesehen wurden, ist nicht abschließend dokumentiert.

Die FTC einigte sich am 09.11.2020 mit Zoom auf einen Vergleich, weil Zoom seit mindestens 2016 fälschlich behauptet hatte, Meetings seien durchgehend Ende-zu-Ende-verschlüsselt. Tatsächlich hielt Zoom die kryptografischen Schlüssel selbst, zudem waren aufgezeichnete Meetings bis zu 60 Tage unverschlüsselt gespeichert. Zoom verpflichtete sich zu einem umfassenden Sicherheitsprogramm. Vorausgegangen waren im Frühjahr 2020 zahlreiche Zoombombing-Vorfälle, die das FBI im April 2020 zu einer öffentlichen Warnung veranlassten.

Die FTC verhängte in diesem Fall kein Bußgeld, sondern Verhaltensauflagen und ein zwanzigjähriges Audit-Programm. Wie viele Nutzer konkret durch die falschen Verschlüsselungsangaben einen Schaden erlitten, ist nicht dokumentiert.

Im März 2021 wurde bei der Parkraum-App ParkMobile ein Datenleck bekannt, das persönliche Daten von rund 21 Millionen Nutzern betraf. Ursache war laut ParkMobile eine Sicherheitslücke in Software eines Drittanbieters. Betroffen waren E-Mail-Adressen, Telefonnummern, Kennzeichennummern, Geburtsdaten und mit bcrypt gehashte Passwörter, Zahlungsdaten waren verschlüsselt und nicht betroffen.

Welche konkrete Drittanbieter-Software und Schwachstelle die Angreifer ausnutzten, blieb offen. ParkMobile informierte betroffene Nutzer nicht aktiv, viele erfuhren erst durch Medienberichte davon.

Die FTC leitete am 31.10.2022 ein Verfahren gegen Chegg ein und warf dem Bildungstechnologie-Anbieter vier Datenschutzverletzungen zwischen September 2017 und April 2020 vor. Betroffen waren persönliche Daten von rund 40 Millionen Nutzern, unter anderem durch einen unbefugten Zugriff auf Amazon-S3-Speicher 2018 mit rund 25 Millionen im Klartext gespeicherten Passwörtern. Laut FTC fehlten bei Chegg grundlegende Sicherheitsmaßnahmen wie Verschlüsselung und Multi-Faktor-Authentifizierung, die im Januar 2023 finalisierte Anordnung verpflichtet Chegg zu einem umfassenden Sicherheitsprogramm.

Ob im Rahmen des Verfahrens eine Geldstrafe verhängt wurde, ist nicht dokumentiert, öffentlich zugängliche Quellen erwähnen vor allem verhaltensbezogene Auflagen. Wie wirksam die angeordneten Maßnahmen seither umgesetzt wurden, ist nicht öffentlich im Detail nachvollziehbar.

Die Sicherheitsfirma Group-IB dokumentierte im Sommer 2022 eine SMS-Phishing-Kampagne gegen mehr als 130 Unternehmen, bekannt als 0ktapus beziehungsweise Scatter Swine. Am 27.07., 02.08. und 07.08.2022 fielen mindestens vier Twilio-Mitarbeiter auf gefälschte Okta-Login-Seiten herein, eingegebene Zugangsdaten wurden per Telegram-Bot in Echtzeit an die Angreifer weitergeleitet. In der Folge wurden auch Telefonnummern von 1.900 Nutzern des Messengers Signal offengelegt, da Twilio dessen SMS-Verifizierung bereitstellt.

Welche Person, Gruppe oder Nation hinter der Kampagne steckt, ist nicht öffentlich belegt. Die Gesamtzahl betroffener Organisationen wird je nach Quelle zwischen rund 130 und über 160 beziffert.

Die niederländische Datenschutzbehörde Autoriteit Persoonsgegevens verhängte am 06.11.2018 ein Bußgeld von 600.000 Euro gegen Uber. Grund war nicht der Datendiebstahl selbst, sondern dass Uber die am 14.11.2016 entdeckte Datenpanne erst am 21.11.2017 und damit rund ein Jahr zu spät meldete, statt wie vorgeschrieben innerhalb von 72 Stunden. Von dem zugrundeliegenden Vorfall waren weltweit rund 57 Millionen Nutzer und Fahrer betroffen, darunter etwa 174.000 Personen in den Niederlanden.

Die niederländische Behörde entschied ausschließlich über die verspätete Meldepflicht nach niederländischem Recht vor der DSGVO, nicht über die parallelen US-Verfahren zum selben Datendiebstahl von 2016. Die spätere, deutlich größere Geldbuße von 290 Millionen Euro gegen Uber aus dem Jahr 2024 wegen unrechtmäßiger Datenübermittlung in die USA ist ein eigenständiges, hier nicht behandeltes Verfahren.

DoorDash gab am 26.09.2019 bekannt, dass ein unbefugter Dritter am 04.05.2019 auf Nutzerdaten zugegriffen hatte. Betroffen waren rund 4,9 Millionen Kunden, Lieferpartner und Händler, die sich bis zum 05.04.2018 registriert hatten. Kompromittiert wurden Namen, E-Mail-Adressen, Telefonnummern und gehashte Passwörter, bei rund 100.000 Lieferpartnern zusätzlich vollständige Führerscheinnummern.

Welcher konkrete Drittanbieter betroffen war und über welchen technischen Mechanismus der Zugriff erfolgte, hat DoorDash nie veröffentlicht. Ob die entwendeten Teildaten tatsächlich für Betrug missbraucht wurden, bleibt offen.

Zynga bestätigte am 12.09.2019, dass Unbefugte auf Nutzerkontodaten zugegriffen hatten. Der Hacker Gnosticplayers erbeutete Datensätze von Nutzern der Spiele Words With Friends, Draw Something und OMGPOP. Have I Been Pwned bestätigte im Dezember 2019 rund 173 Millionen betroffene Datensätze mit E-Mail-Adressen, Nutzernamen und gesalzenen SHA-1-Passwort-Hashes, Zynga erklärte, es gebe keine Hinweise auf den Abfluss von Finanzdaten.

Die genaue Zahl der betroffenen Personen ist nicht abschließend geklärt, der Hacker behauptete ursprünglich rund 218 Millionen Konten. Die Identität des als Gnosticplayers bekannten Angreifers ist nicht gerichtsfest belegt.

Im September 2019 wurde bekannt, dass eine Sammlung mehrerer Datenbanken mit mehr als 419 Millionen Datensätzen von Facebook-Nutzern ungeschützt auf einem MongoDB-Server erreichbar war. Die Datensätze enthielten Facebook-Nutzer-IDs und zugehörige Telefonnummern, darunter rund 133 Millionen US-Konten. Entdeckt wurde die Datenbank vom Sicherheitsforscher Sanyam Jain, der Hosting-Anbieter nahm den Server anschließend vom Netz.

Wer die Datenbank betrieben und die Daten zusammengetragen hat, ist nicht geklärt. Facebook erklärte, die Daten stammten aus Scraping vor 2018, nicht aus einem Hack der eigenen Systeme. Dieser Fall ist vom separaten, erst 2021 bekannt gewordenen Facebook-Scraping-Datenleck zu unterscheiden.

Quora teilte am 03.12.2018 mit, dass ein unbefugter Dritter Zugriff auf interne Systeme erlangt und Daten von bis zu 100 Millionen Nutzerkonten kopiert hatte. Betroffen waren Namen, E-Mail-Adressen, verschlüsselte Passwörter sowie öffentliche und nicht öffentliche Aktivitäten wie Fragen, Antworten und private Nachrichten. Quora meldete alle betroffenen Nutzer automatisch ab und setzte ihre Passwörter zurück.

Wer die Angreifer waren und auf welchem technischen Weg sie Zugang erlangten, geht aus den verfügbaren Quellen nicht hervor. Spätere behördliche Bußgelder infolge des Vorfalls sind nicht dokumentiert.

Der Bundesbeauftragte für den Datenschutz (BfDI) verhängte am 09.12.2019 ein Bußgeld von 9,55 Millionen Euro gegen die 1&1 Telecom GmbH wegen unzureichender technischer und organisatorischer Maßnahmen im telefonischen Kundenservice. Anrufer erhielten allein durch Angabe von Namen und Geburtsdatum eines Kunden Zugriff auf dessen weitere personenbezogene Daten. Auslöser war ein Stalking-Fall, in dem eine Person auf diesem Weg die neue Telefonnummer eines Opfers erlangte.

Das Landgericht Bonn bestätigte 2020 den DSGVO-Verstoß, reduzierte die Bußgeldhöhe im gerichtlichen Nachgang aber auf 900.000 Euro. Wie die interne technische Umstellung der Authentifizierungsverfahren bei 1&1 im Detail ablief, ist nur in groben Zügen dokumentiert.

vpnMentor-Forscher entdeckten am 05.08.2019 eine öffentlich zugängliche, größtenteils unverschlüsselte Datenbank der biometrischen Zutrittsplattform BioStar 2 des südkoreanischen Herstellers Suprema. Die Datenbank enthielt über 27,8 Millionen Einträge mit rund 23 Gigabyte Daten, darunter mehr als eine Million Fingerabdruck-Templates und Gesichtserkennungsbilder. BioStar 2 wird laut Suprema von über 5.700 Organisationen in 83 Ländern eingesetzt, der Zugriff wurde am 13.08.2019 geschlossen.

Die exakte Gesamtzahl der weltweit betroffenen Personen bleibt offen. Ob Dritte die Daten vor der Entdeckung bereits ausgelesen haben, ist nicht belegt, Suprema bestritt öffentlich das Ausmaß des Lecks ohne eigene technische Belege.